网站登录功能作为多数系统的第一道关口，在渗透测试中属于必查模块。攻击者往往从登录入口寻找薄弱点，借由逻辑缺陷或技术漏洞获取合法身份，因此排查登录相关风险需要覆盖认证、授权与会话全生命周期。
认证环节的漏洞查找
认证是登录流程的核心，渗透测试首先应检查系统对账号密码的校验方式。常见问题是服务端未对认证失败次数做限制，导致攻击者可借助工具批量尝试弱密码。测试时可以使用字典对登录接口发起请求，观察是否在连续错误后触发锁定或滑块验证。
另外，许多网站在返回信息上泄露账号状态。例如输入正确用户名但错误密码时提示“密码错误”，而用户名不存在时提示“用户不存在”，这会让攻击者确认哪些账号真实有效。渗透中应记录两种提示的差异，并向开发建议统一为“用户名或密码错误”来模糊回应。
验证码与多因素认证
验证码本用于阻挡机器爆破，但实现不当反而形同虚设。测试人员需要查看验证码是否随页面刷新而更新，后端是否校验验证码的一次性，以及图片验证码是否可被简单脚本识别。若验证码仅在前端判断，抓包重放仍能绕过，就属于典型漏洞。
对于具备短信或邮箱验证码的登录，要检查验证码长度、有效期及错误次数限制。部分系统验证码为六位纯数字且五分钟内无限重试，在自动化工具下极易被穷举。多因素认证若支持备用码或信任设备，也要确认其发放与注销逻辑是否严谨。
输入处理与逻辑绕过
登录框也是注入与绕过的高发地。渗透测试需对用户名、密码字段进行SQL注入、LDAP注入及命令注入的试探。比如在账号处提交单引号观察报错，或使用万能密码字符串测试是否改变查询语义。同时应关注前端过滤是否被后端信任，所有输入必须以服务端校验为准。
逻辑绕过常出现在“记住我”、单点登录及第三方授权回调中。测试者可修改记住我令牌的过期时间字段，或替换回调地址参数查看是否任意跳转。若系统以客户端传入的用户标识决定登录态，就可能存在越权登录。此类问题需在流程梳理中逐步模拟异常操作来发现。
账号枚举与注册接口
若登录页关联注册或找回密码功能，这些辅助接口同样暴露风险。通过批量提交手机号或邮箱，根据响应时间或内容判断哪些已被注册，可形成账号字典。渗透中应将登录与周边功能联动分析，而不是孤立看待输入框。
找回密码环节若仅凭借密保问题或短信码即可重置，且未校验原始身份，就可能被恶意利用。测试时应尝试截获重置链接，修改其中的用户参数，验证系统是否错误地向其他账号发放权限。
会话与令牌安全
登录成功后的会话管理决定攻击持久性。渗透测试要检查会话标识（如Cookie中的sessionid）是否在登录后重新生成，避免固定会话攻击。同时确认退出操作是否真正销毁服务端会话，而非仅清除本地存储。
令牌传输需置于HTTPS，并设置HttpOnly与Secure属性，防止脚本窃取。测试人员可通过浏览器开发工具查看响应头，若发现会话Cookie缺少这些标记，应记录为配置缺陷。下表列出常见会话检查项：
| 检查项 | 风险表现 | 建议措施 |
|---|---|---|
| 会话生成时机 | 登录前后ID不变 | 认证后重置会话 |
| Cookie属性 | 无HttpOnly或Secure | 开启对应标记 |
| 退出清理 | 服务端未失效 | 后端显式销毁 |
测试流程建议
实际渗透中，建议先以正常账号走通登录全流程并抓包，建立请求基线。随后以越权、重放、篡改参数等方式偏离正常路径，对比系统反应。所有发现应整理为证据链，包含请求截图与影响说明。
此外，自动化工具可辅助发现常规漏洞，但登录逻辑缺陷多依赖人工推演。测试者应当站在开发者疏忽的角度思考，例如是否信任了前端传参、是否遗漏了边界账号，才能更全面摸清网站登录的真实防护水平。